【从面试出发学习java】- 网络 - HTTP和HTTPS的区别

HTTPS简介

以计算机网络安全通信为目的的传输协议。

HTTPS相比HTTP多了一个SSL（或TLS）层，用来保护交互数据隐私以及完整性还有提供对网站服务器身份认证的功能。简单来说就是安全版的HTTP。

SSL（Security Sockets Layer，安全套接层）
 为网络通信提供安全及数据完整性的一种安全协议
 是操作系统对外提供的API，SSL3.0后更名为TLS
 采用身份验证和数据加密保证网络通信的安全和数据的完整性

加密的方式

对称加密：加密和解密都使用同一密钥，相比非对称加密效率高
非对称加密：加密使用的密钥和解密使用的密钥是不相同的，效率低但是安全性高，能加密的数据长度也是有限的。区块链技术也是使用的非对称加密
哈希算法：将任意长度的信息准换为固定长度的值，算法不可逆（常见MD5算法）
数字签名：证明某个消息或者文件是某人发出/认同的

HTTPS数据传输流程

HTTPS在进行数据传输之前，会与网站服务器和web浏览器进行一次握手，在握手时确认双方的加密密码信息。具体过程如下：
 浏览器将支持的加密算法信息发送给服务器
 服务器选择一套浏览器支持的加密算法，以证书的形式回发给浏览器
 证书的信息里面包含了证书发布的CA机构，证书的有效期，公钥，证书的所有者还有签名等等
 CA机构是颁发证书的权威机构
 浏览器验证证书合法性，并结合证书公钥加密信息发送给服务器
 浏览器收到证书之后，首先要验证证书的合法性，如果证书受到浏览器信任，则在地址栏会有标志显示，否则就会显示不受信的标识
 证书受信之后，web浏览器会随机生成一串密码，并使用证书中的公钥加密，之后使用约定好的哈希算法把握手消息并生成随机数对消息进行加密，再将之前的信息回发给服务器
 服务器使用私钥解密信息，验证哈希，加密响应消息回发浏览器
 浏览器解密响应信息，并对信息进行验证，之后进行加密交互数据
 如果与服务器发送过来的哈希值一致，则此握手过程结束后，服务器和浏览器会使用之前的生成的随机密码和对称加密算法进行加密，然后交互数据

HTTP和HTTPS的区别

1. HTTPS需要到CA申请证书（需要一定的费用），HTTP不需要
2. HTTPS（SSL加密传输协议）密文传输，HTTP（超文本传输协议）明文传输
3. 连接方式不同，HTTPS默认端口443端口，HTTP使用80端口
4. HTTPS = HTTP+加密+认证+完整性保护，较HTTP安全

HTTPS真的安全吗？

浏览器默认填充http://，请求需要跳转，有被劫持的风险
这个时候可以使用HSTS（HTTP Strict Transport Security）优化